Votre comptable reçoit un courriel qui ressemble trait pour trait à celui de votre fournisseur habituel : même logo, même signature, même ton. Seule différence, glissée en pièce jointe : un nouveau relevé d’identité bancaire. Le virement de 24 000 euros part. Quelques jours plus tard, le vrai fournisseur relance pour facture impayée. L’argent, lui, dort déjà sur un compte ouvert avec des pièces volées, vidé en cascade vers l’étranger. Ce scénario, baptisé fraude au faux fournisseur ou fraude au faux RIB, frappe chaque année des centaines d’entreprises françaises, des TPE aux ETI. La question qui écrase toutes les autres arrive vite : qui supporte la perte ? La banque doit-elle rembourser ? Faut-il payer une seconde fois le vrai fournisseur ? Et comment faire revenir des fonds déjà dispersés ? Cet article décrit la méthode complète : comprendre pourquoi la banque refuse le plus souvent de rembourser, activer les bons leviers de récupération, déposer une plainte efficace, mobiliser l’assurance et verrouiller la procédure pour ne jamais payer deux fois.

I. J’ai payé sur un faux RIB : qui supporte la perte et la banque doit-elle rembourser ?

A. Virement exécuté avec un IBAN faux : pourquoi la banque refuse le plus souvent de rembourser

Le réflexe naturel consiste à appeler sa banque en exigeant le remboursement immédiat. La déception suit de près : dans la fraude au faux RIB, la banque répond presque toujours qu’elle n’est pas responsable, car c’est l’entreprise elle-même qui a ordonné le virement. Juridiquement, cette position s’appuie sur un texte précis du code monétaire et financier : « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » Autrement dit, quand l’entreprise saisit elle-même l’IBAN communiqué par l’escroc, l’opération est réputée bien exécutée pour cet identifiant, même si le titulaire réel du compte n’est pas le fournisseur. Le même article ajoute : « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. » La banque du payeur décline donc sa responsabilité chaque fois que l’erreur sur le bénéficiaire provient des informations fournies par le client.

Beaucoup d’entreprises invoquent alors le régime protecteur des opérations non autorisées, qui impose à la banque un remboursement au plus tard à la fin du premier jour ouvré suivant. Ce régime existe bien : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », selon l’article L. 133-18 du code monétaire et financier. Le texte prévoit même des pénalités progressives en cas de retard : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », et « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Mais ce régime vise les opérations non autorisées, typiquement le pirate qui initie lui-même un virement depuis votre compte. Dans la fraude au faux RIB, c’est votre entreprise qui a authentifié l’ordre, validé l’IBAN et cliqué. L’opération est autorisée dans son principe, seul le destinataire est trompeur. Les tribunaux appliquent donc la règle de l’identifiant unique plutôt que le remboursement automatique. Compter sur le remboursement J+1 constitue la première erreur du dossier.

Le délai de contestation reste néanmoins vital. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Pour une entreprise, le contrat-cadre peut aménager ce délai, car le texte précise : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct ». Concrètement, vos conditions générales de banque peuvent réduire ce délai à quelques semaines. Dès la découverte de la fraude, la contestation écrite doit partir le jour même, par lettre recommandée et message sécurisé, pour figer la date. Même si le remboursement automatique est incertain, cette contestation déclenche l’obligation de coopération de la banque et conditionne tous les recours ultérieurs.

La responsabilité de l’entreprise peut aussi être recherchée par sa propre banque au titre de la négligence. L’article L. 133-16 du code monétaire et financier impose : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Et l’article L. 133-19 du code monétaire et financier prévoit : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » Ces textes visent d’abord la perte ou le vol d’instrument, mais les banques les invoquent pour soutenir que l’entreprise qui paie sans vérifier un changement de RIB a manqué à son devoir de vigilance. Face à cet argument, l’entreprise doit documenter sa procédure interne : double validation, contre-appel sur numéro connu, historique des RIB. Une entreprise qui démontre une procédure sérieuse, contournée par une usurpation sophistiquée, discute bien mieux qu’une structure qui a payé sur simple courriel sans aucun contrôle.

B. Faire revenir les fonds : rappel du virement, effort de récupération de la banque et recours contre la banque du bénéficiaire

Tout n’est pas perdu quand le virement est parti : les premières heures décident souvent du sort des fonds. Le premier geste consiste à demander à votre banque un rappel du virement, parfois appelé recall, vers la banque du bénéficiaire. Plus la demande part vite, plus les chances de geler le solde avant dispersion sont réelles : les escrocs vident généralement le compte rebond en quelques heures, par retraits et virements en chaîne. Votre banque n’est pas seulement un intermédiaire poli dans cette démarche : la loi lui impose de chercher. Le même article L. 133-21 du code monétaire et financier qui la décharge de la responsabilité ajoute aussitôt : « Toutefois, le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. » Exigez donc par écrit la preuve de ces efforts : date et heure du message interbancaire, réponse de la banque du bénéficiaire, montant éventuellement gelé. Une banque qui se contente d’un simple accusé de réception sans relance manque à cette obligation d’effort, et ce manquement nourrit un recours en responsabilité contre elle.

Le deuxième levier vise la banque du bénéficiaire, celle qui a ouvert et tenu le compte rebond. Ces comptes sont fréquemment ouverts avec des documents d’identité volés ou appartiennent à des mules rémunérées. La banque du bénéficiaire doit communiquer à votre banque « toutes les informations » utiles à la récupération, et elle engage sa responsabilité si elle a manqué à ses obligations de vigilance à l’ouverture ou au fonctionnement du compte : pièces invérifiables, mouvements incohérents avec le profil du titulaire, alertes ignorées. En pratique, l’entreprise victime n’obtient ces informations que par la voie judiciaire, car le secret bancaire s’oppose aux demandes directes. C’est l’une des raisons pour lesquelles le dépôt de plainte rapide compte autant : le procureur et les enquêteurs peuvent exiger la communication des relevés, l’identification du titulaire réel et le gel des fonds, là où la victime se heurte au secret. Parallèlement, une mise en demeure adressée à la banque du bénéficiaire, exposant les faits et réservant expressément une action en responsabilité pour manquement au devoir de vigilance, prépare le terrain indemnitaire.

Le troisième levier, souvent décisif, concerne la responsabilité civile des participants à la fraude. L’article 1240 du code civil pose le principe : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Chaque faute prouvée ouvre un droit à réparation : la mule qui a prêté son compte, le prestataire informatique défaillant qui a laissé pirater la messagerie du fournisseur, voire la banque qui a ignoré des signaux évidents. L’entreprise doit donc chiffrer son préjudice complet dès le départ : montant détourné, frais bancaires du rappel, coût de l’expertise informatique, temps interne passé, retard de paiement subi par le vrai fournisseur et pénalités contractuelles éventuelles. Ce chiffrage précis servira trois fois : dans la plainte avec constitution de partie civile, dans la déclaration à l’assurance et dans l’assignation en responsabilité. Les entreprises qui se contentent de réclamer le montant du virement laissent une partie du préjudice sur la table.

Enfin, la question du double paiement angoisse tous les dirigeants : faut-il payer une seconde fois le vrai fournisseur pendant que l’argent est bloqué ? Juridiquement, la dette envers le vrai fournisseur subsiste, car le paiement sur le compte de l’escroc ne l’a pas libérée : payer un tiers non autorisé ne vaut pas paiement. Mais payer immédiatement sans cadre expose l’entreprise à supporter seule toute la perte. La bonne méthode consiste à informer par écrit le vrai fournisseur, pièces à l’appui, à négocier un moratoire documenté et à conditionner tout nouveau règlement à une procédure de vérification renforcée. Si le fournisseur assigne en paiement, l’entreprise exposera la fraude, ses diligences et sa plainte ; le juge appréciera les délais et pourra accorder des délais de grâce. Pour les relations commerciales suivies, un protocole transactionnel partiel, avec échéancier et partage documenté du risque, préserve souvent mieux l’avenir qu’un bras de fer. Les contentieux entre entreprises commerçantes se prouvent librement, et l’article L. 110-3 du code de commerce rappelle : « A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi. » Courriels, journaux de connexion, attestations du prestataire informatique et constats d’huissier forment ainsi un dossier recevable sans formalisme notarié.

II. Porter plainte, mobiliser l’assurance et verrouiller la procédure pour ne plus payer deux fois

A. Déposer une plainte pour escroquerie qui fait vraiment avancer l’enquête

La plainte n’est pas une formalité morale, c’est l’outil qui débloque les informations bancaires et les gels de fonds. Le fondement principal figure au code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » La fraude au faux RIB coche chaque case : usage d’un faux nom ou manoeuvres frauduleuses, tromperie d’une personne morale, remise de fonds à son préjudice. Le texte sanctionne ce comportement de « cinq ans d’emprisonnement et de 375 000 euros d’amende ». Selon le mode opératoire, des qualifications complémentaires renforcent la plainte. Quand la messagerie du fournisseur a été piratée, l’article 323-1 du code pénal s’applique : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Quand l’escroc a usurpé l’identité du dirigeant ou du comptable du fournisseur, l’article 226-4-1 du code pénal ajoute : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Citer ces trois qualifications dans la plainte oriente l’enquête vers les bons services et justifie des actes d’investigation larges : réquisitions bancaires, exploitation des adresses IP, perquisitions.

Le contenu de la plainte détermine sa vitesse de traitement. Les brigades financières reçoivent des centaines de dossiers ; un récit structuré avec pièces numérotées part en enquête, un récit confus attend. La plainte doit contenir la chronologie précise au quart d’heure près : réception du faux courriel, validation interne, heure du virement, découverte de la fraude, heure du rappel bancaire. Elle joint les en-têtes complets du courriel frauduleux, la comparaison avec un vrai courriel du fournisseur, le faux RIB et le vrai RIB, l’ordre de virement, la contestation adressée à la banque et son accusé de réception. Elle identifie le préjudice chiffré et sollicite expressément la recherche et le gel des fonds sur le compte destinataire, ainsi que l’identification de son titulaire. Le dépôt s’effectue au commissariat ou à la gendarmerie, mais pour des montants significatifs, une plainte avec constitution de partie civile auprès du doyen des juges d’instruction, après un délai sans suite du procureur, permet de forcer la désignation d’un juge et d’accéder au dossier. Chaque entreprise victime d’un même réseau doit déposer sa propre plainte en signalant les liens avec les autres dossiers connus : la jonction des procédures révèle les comptes rebonds communs et les mules récurrentes.

Parallèlement à la plainte pénale, deux signalements administratifs protègent l’entreprise. Le signalement sur la plateforme dédiée du ministère de l’intérieur centralise les indices techniques et aide à relier les affaires. Si des données personnelles de salariés ou de contacts ont été compromises dans le piratage de la messagerie, une notification à la CNIL dans les délais peut s’imposer, avec information des personnes concernées. Ces démarches ne ramènent pas l’argent à elles seules, mais elles créent des traces officielles datées qui serviront devant l’assureur et devant le juge civil : une entreprise qui signale vite et partout démontre sa diligence, là où l’inertie nourrit le soupçon de négligence. Conservez chaque récépissé : ils rejoindront le dossier de preuves aux côtés des échanges bancaires et des constats techniques.

La preuve technique mérite un investissement immédiat. Faites établir par votre prestataire informatique ou un expert un rapport daté : analyse des en-têtes SMTP, règles de renvoi clandestines ajoutées dans la messagerie, journaux de connexion inhabituels, captures du faux domaine avec sa date de création. Ce rapport établit que l’usurpation était indétectable par un salarié normalement vigilant, ce qui répond par avance à l’argument de négligence de la banque. Il identifie aussi l’origine de la compromission : messagerie du fournisseur piratée, poste interne infecté, ou simple imitation de domaine sans intrusion. Cette distinction oriente les responsabilités : piratage chez le fournisseur ouvrant un recours contre lui sur le fondement de la responsabilité civile, imitation pure renvoyant vers les seuls auteurs. Faites également constater par commissaire de justice le contenu du faux courriel et du faux site si un lien figurait dans le message, avant toute disparition. Ces constats, joints aux échanges commerciaux prouvés par tous moyens entre commerçants, forment un dossier complet pour le juge pénal comme pour le juge civil.

B. Assurance fraude, vrai fournisseur et procédure parisienne : payer utile sans payer deux fois

L’assurance constitue le deuxième espoir d’indemnisation après la récupération bancaire, à condition d’avoir souscrit la bonne garantie avant la fraude. Les contrats d’assurance fraude, parfois inclus dans la multirisque professionnelle ou souscrits en extension, couvrent les détournements commis par un tiers par tromperie, avec des plafonds et des franchises variables. Déclarez le sinistre dans le délai contractuel, souvent cinq jours ouvrés, par lettre recommandée avec le récit, la plainte et le chiffrage. L’assureur vérifiera vos mesures de prévention : procédure écrite de validation des changements de RIB, double signature au-delà d’un seuil, contre-appel systématique. Les exclusions les plus fréquentes visent les actes commis avec la complicité d’un préposé et les pertes résultant d’une simple erreur sans manoeuvre frauduleuse établie, d’où l’importance de la qualification pénale d’escroquerie documentée par la plainte. Si l’assureur refuse la garantie, faites réexaminer la motivation du refus au regard des conditions particulières signées, pas seulement des conditions générales : les garanties réellement souscrites figurent aux conditions particulières, et les clauses d’exclusion doivent y être formelles et limitées pour être opposables. Un refus sommaire, sans référence précise à la clause invoquée, se conteste par mise en demeure puis par médiation de l’assurance avant tout procès.

La relation avec le vrai fournisseur exige autant de méthode que le combat bancaire. Rappelez le principe : le virement à l’escroc ne libère pas la dette, car le créancier n’a rien reçu. Le fournisseur peut donc exiger le paiement de la facture, assorti des pénalités contractuelles. Pour autant, un fournisseur sérieux, informé vite et preuves à l’appui, accepte le plus souvent un échéancier pendant l’enquête, surtout si l’entreprise démontre sa plainte, son rappel bancaire et sa déclaration d’assurance. Formalisez cet accord par écrit : reconnaissance du solde, calendrier de règlement, suspension des pénalités pendant la période d’enquête, engagement réciproque sur une nouvelle procédure de communication des RIB. Ce protocole évite l’assignation en paiement qui aggraverait les frais des deux côtés. Si le fournisseur a lui-même été négligent, par exemple une messagerie piratée depuis des mois sans alerte à ses clients malgré des signaux, l’entreprise peut opposer une part de responsabilité et discuter un partage du préjudice, toujours sur le fondement du principe général de réparation posé par le code civil. Les entreprises confrontées plus largement aux retards et aux litiges de paiement entre professionnels trouveront la méthode des recours classiques, injonction de payer et référé-provision, dans notre analyse des recours contre un fournisseur en retard de livraison et le calcul des pénalités, qui complète utilement le présent dossier.

À Paris et en Île-de-France, plusieurs spécificités pratiques méritent l’attention des entreprises victimes. La plainte pour un préjudice significatif gagne à être déposée auprès du parquet de Paris, pôle économique et financier, quand les flux transitent par des établissements parisiens ou quand le réseau dépasse le cadre local : les enquêteurs spécialisés disposent des réquisitions adaptées aux circuits bancaires complexes. Au civil, le tribunal judiciaire de Paris et le tribunal de commerce de Paris connaissent la plupart des litiges entre sociétés franciliennes, avec des chambres habituées aux dossiers de fraude documentaire. Les délais d’audiencement parisiens imposent d’anticiper : une assignation en responsabilité contre la banque du bénéficiaire prend des mois avant l’audience, pendant lesquels le référé peut offrir une voie plus rapide pour obtenir une provision ou une mesure conservatoire quand l’obligation n’est pas sérieusement contestable. Préparez aussi le volet interne parisien : audition des salariés concernés, avec convocation et assistance, dans le respect du droit disciplinaire, car la tentation de sanctionner vite le comptable trompé expose l’entreprise à un contentieux prud’homal perdu d’avance si la procédure est bâclée. Enfin, les entreprises franciliennes dont la trésorerie est fragilisée par la fraude et le double paiement doivent surveiller leur état de cessation des paiements : une fraude majeure peut justifier l’ouverture d’une procédure de prévention, mandat ad hoc ou conciliation, devant le tribunal de commerce, pour négocier les échéances à l’abri des poursuites.

La dernière étape consiste à verrouiller durablement la procédure de paiement pour que la fraude ne se reproduise pas. Instaurez une règle intangible : aucun changement de coordonnées bancaires sans contre-appel vocal sur un numéro connu indépendamment du courriel, jamais sur le numéro figurant dans le message suspect. Imposez la double validation humaine pour tout nouveau bénéficiaire et tout montant dépassant un seuil écrit, avec traçabilité des valideurs. Faites vérifier par votre informaticien les règles de votre messagerie : filtrages des domaines ressemblants, alertes sur les expéditeurs externes usurpant un nom interne, authentification renforcée des boîtes partagées de comptabilité. Formez deux fois par an les équipes avec des exemples réels anonymisés, y compris des tests d’hameçonnage internes, et tenez un registre des RIB vérifiés avec date de vérification. Ces mesures, peu coûteuses, transforment le dossier d’entreprise négligente en dossier d’entreprise diligente : devant la banque, l’assureur et le juge, cette différence vaut souvent le montant du litige.

Conclusion

La fraude au faux RIB place l’entreprise face à une réalité juridique sévère : le virement qu’elle a elle-même ordonné vers l’IBAN de l’escroc est réputé dûment exécuté, et le remboursement automatique de la banque reste l’exception, pas la règle. Mais subir n’est pas une fatalité. La méthode gagnante tient en cinq réflexes : contester par écrit auprès de la banque le jour même en exigeant la preuve écrite de ses efforts de récupération, demander le rappel immédiat du virement avant dispersion des fonds, déposer une plainte pour escroquerie dense et chiffrée qui débloque réquisitions et gels, déclarer le sinistre à l’assurance dans les délais contractuels, et négocier par écrit avec le vrai fournisseur un moratoire adossé à une procédure de vérification renforcée. Chaque étape produit une trace : contestation datée, message interbancaire, récépissé de plainte, rapport d’expertise, protocole avec le fournisseur. Devant la banque du bénéficiaire, l’assureur ou le tribunal de Paris, ces traces font la différence entre la négligence alléguée et la diligence prouvée. Verrouillez ensuite la procédure interne, contre-appel systématique et double validation, car la meilleure récupération reste la fraude qui n’a jamais lieu.